PT-2026-39640 · Emqx · Emqx

Sammy Azdoufal + 1 · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-33356

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas EMQX versões 4.x

Descrição Em implantações do Meari IoT Cloud MQTT Broker, uma conta autenticada de baixo privilégio pode se inscrever em tópicos de curinga globais, como meari/#, permitindo que o usuário receba telemetria de dispositivos que não lhe pertencem. Embora o broker aplique Listas de Controle de Acesso (ACLs) de publicação, ele não aplica a autorização de inscrição equivalente no escopo por dispositivo. Em um teste real em um único broker, isso permitiu a captura de 14.204 mensagens de 2.117 dispositivos.

Recomendações Atualize as versões 4.x do EMQX para uma versão onde a autorização de inscrição seja devidamente aplicada no escopo por dispositivo.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-33356

Produtos afetados

Emqx

Referências · 5

• https://github.com/xn0tsa/nobody-puts-baby-in-a-corner · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33356 · Nota de Segurança
• https://twitter.com/n0tsa/status/2053882985317896340 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053932458568278406 · Publicação no Twitter
• https://runzero.com/advisories/meari-mqtt-broker-missing-per-device-subscribe-acl-cve-2026-33356 · Nota